1.2.4.1. Chứng chỉ số
Để giải quyết vấn đề “khóa công khai đó có đúng là của ngưởi gửi văn bản không và ai là người chứng thực vấn đề này?”, về mặt công nghệ, vấn đề được giải quyết như sau:
• Xây dựng một hệ thống tập trung làm nhiệm vụ chứng thực, cấp
phát cặp khóa bí mật – công khai cho người sử dụng (Gắn thông tin cá nhân như họ tên, cơ quan, … của người sở hữu cặp khóa vào
phần khóa công khai tạo thành một file dữ liệu, đây chính là phần nội dung của chứng chỉ số).
• Để đảm bảo tính toàn vẹn và tin cậy của file dữ liệu này, hệ thống phát hành sử dụng khóa bí mật của mình khởi tạo chữ ký điện tử và đính kèm lên file dữ liệu trên tạo ra chứng chỉ số (digital certificate) cho người sở hữu cặp khóa.
Hệ thống cung cấp và chứng thực khóa đó đại diện cho người tham gia giao dịch được gọi là hệ thống chứng thực số (Certificate Authority – CA)
Tất cả các bên giao dịch muốn kiểm tra tính đúng đắn, hợp lệ về nội dung của chứng chỉ số đều xuất phát từ việc tin cậy vào chữ ký số của CA trên chứng chỉ số (điều này cũng hoàn toàn tự nhiên như khi ta xem xét một chứng minh thư nhân dân để tin cậy vào một cá nhân, ta tin cậy vào chữ ký và dấu của người ký chứng minh thư đó). Như vậy, có thể thấy rằng:
Chứng chỉ số có ba thành phần chính:
• Thông tin cá nhân của người được cấp
• Khóa công khai (Public Key) của người được cấp
• Chữ ký số của CA cấp chứng chỉ.
Chứng thực điện tử có các chức năng chính sau:
• Tính xác thưc: Đảm bảo được thực thể hợp pháp.
• Tính toàn vẹn dữ liệu: Xác định được thông tin nhận được có
đúng như thông tin gửi đi không hay đã bị thay đổi.
• Tính không chối bỏ: Chứng thực điện tử đảm bảo cho người sử
dụng không thể chối bỏ về các dữ liệu của mình đã gửi.
• Tính bí mật: Mã hóa thông tin gửi đi trên mạng, đảm bảo bí mật thông tin.
Với những tính năng như vậy chứng thực điện tử được sử dụng trong khá nhiều ứng dụng như:
- Ký vào tài liệu điện tử - Thư điện tử bảo đảm - Thương mại điện tử
- Bảo vệ mạng không dây (WLAN – Wireless Lan Area Network) - Bảo đảm an toàn cho máy chủ và các dịch vụ Web
- Mạng riêng ảo
Có nhiều loại chứng chỉ số, một trong số đó là: - Chứng chỉ khóa công X.509
- Chứng chỉ khóa công đơn giản (Simple public key Certificates – SPKC)
- Chứng chỉ Pretty Good Privacy (PGP)
- Chứng chỉ thuộc tính (Attribute Certifcates – AC)
Tất cả các loại chứng chỉ này đều có cấu trúc định dạng riêng. Hiện nay chứng chỉ khóa công khai X.509 được sử dụng phổ biến trong hầu hết các hệ thống PKI. Hệ thống chương trình cấp chứng chỉ số thử nghiệm cũng sử dụng định dạng chứng chỉ theo X.509.
Chứng chỉ khóa công khai X.509
Chứng chỉ X.509 v3 là định dạng chứng chỉ phổ biến và được hầu hết các nhà cung cấp sản phẩm PKI triển khai.
Chứng chỉ khóa công khai X.509 được Hội viễn thông quốc tế (ITU) đưa ra lần đầu tiên vào năm 1988 như là một bộ phận có dịch vụ thư mục X.500. (adsbygoogle = window.adsbygoogle || []).push({});
Chứng chỉ gồm hai phần. Phần đầu là những trường cơ bản cần thiết phải có trong chứng chỉ. Phần thứ hai thêm một số trường phụ, những trường này được gọi là trường mở rộng dùng để xác định và đáp ứng những yêu cầu bổ sung của hệ thống. Khuôn dạng của chứng chỉ X.509 được chỉ ra trong hình 1.10.
Version number Seriant number Signature Issuer Validity Period Subject
Subject Public key Information Issuer Unique ID
Subject Unique ID Extensions
Hình 1.10. Khuôn dạng chứng chỉ X.509
Những trường cơ bản của chứng chỉ X.509
• Version: Xác định sô phiên bản của chứng chỉ
• Certificate serianl Number: Do CA gán, là định danh duy nhất của chứng chỉ.
• Signature Algorithm ID: Chỉ ra thuật toán CA sử dụng để ký trên chứng chỉ (thuật toán RSA, DSA,…)
• Issuer: Chỉ ra CA cấp và ký trên chứng chỉ.
• Validity Period: Khoảng thời gian chứng chỉ có hiệu lực. Trường này xác định thời gian chứngchỉ bắt đầu có hiệu lực và thời điểm hết hạn.
• Subject: Xác định thực thể mà khóa công khai của thực tế này
được xác nhận. Tên của Subject phải duy nhất đối với mỗi thực thể CA xác nhận.
• Subject Pubblic key information: Chứa khóa công khai và những
tham số liên quan; xác định thuật toán (ví dụ RSA hay DSA) được sử dụng cùng với khóa.
• Issuer Unique ID (Optional): là trường không bắt buộc, trường này cho phép sử dụng tại tên người cấp. Trường này hiếm được sử dụng trong triển khai thực tế.
• Subject Unique ID (Optional): Là trường tùy chọn cho phép sử
dụng lại tên của Subject khi quá hạn. Trường này cũng ít được sử dụng.
• Extension (Optional): Chỉ có trong chứng chỉ v.3.
• Certification Authority’s Digital Signature: Chữ ký số của CA được tính từ những thông tin trên chứng chỉ với khóa riêng và thuật toán ký số được chỉ ra trong trường Signature Algorithm Identifier của chứng chỉ.
Tính toàn vẹn của chứng chỉ được đảm bảo bằng chữ ký số của CA trên chứng chỉ. Khóa công khai của CA được phân phối đến người sử dụng chứng chỉ theo một cơ chế bảo mật trước khi thực hiện các thao tac PKI. Người sử dụng kiểm tra hiệu lực của chứng chỉ được cấp với chữ ký của CA và khóa công khai của CA.
Những trường mở rộng của chứng chỉ X.509
Phần mở rộng là những thông tin về các thuộc tính cần thiết được đưa vào để gắn những thuộc tính này với người sử dụng hay khóa công. Những thông tin trong phần mở rộng thường được dùng để quản lý xác thực phân cấp, chính sách chứng chỉ, thông tin về chứng chỉ bị thu hồi…. Nó cũng có thể được sử dụng để định nghĩa phần mở rộng riêng chứa những thông tin đặc trưng cho cộng đồng nhất định. Mỗi trường mở rộng trong chứng chỉ được thiết kế với cờ “critical” hoặc “unuritical”.
• Authority Key Indentifier: Chứa ID khóa công khai của CA, ID
này là duy nhất và được dùng để kiểm tra chữ ký số trên chứng chỉ. Nó cũng được sử dụng để phân biệt giữa các cặp khóa do CA sử
dụng (trong trường hợp nếu CA có nhiều hơn một khóa công khai). Trường này được sử dụng cho tất cả các chứng chỉ tự ký số (CA – Certificates).
• Subject key Identifier: Chứa ID khóa công khai có trong chứng chỉ và được sử dụng để phân biệt giữa các khóa nếu như có nhiều khóa được gắn vào trong cùng chứng chỉ của người sử dụng (Nếu chủ thể có nhiều hơn một khóa công khai).
• Key Usage: Chứa một chuỗi bít được sử dụng để xác định (hoặc
hạn chế) chức năng hoặc dịch vụ được hỗ trợ qua việc sử dụng khóa công khai trong chứng chỉ.
• Extended Key Usage: Chứa một hoặc nhiều OIDs (định danh đối (adsbygoogle = window.adsbygoogle || []).push({});
tượng – Object Identifier) để xác định cụ thể việc sử dụng khóa công trong chứng chỉ. Các giá trị có thể là (1) xác thực sever TLS, (2) xác thực client TLS, (3) Ký mã, (4) bảo mật e – mail, (5) tem thời gian.
• CRL Ditribution Point: Chỉ ra vị trí CRL tức là nơi hiện có thông tin thu hồi chứng chỉ. Nó có thể là URI (Uniform Resource Indicator), địa chỉ của X.500 hoặc LDAP server.
• Private Key Usage Period: Trường này có biết thời gian sử dụng của khóa riêng gắn với khóa công khai trong chứng chỉ.
• Certificate Policies: Trường này chỉ ra dãy các chính sách OIDs gắn với việc cấp và sử dụng chứng chỉ.
• Policy Mapping: Trường này chỉ ra chính sách thực tương đương
giữa hai miền CA. Nó được sử dụng trong việc xác thực chéo và kiểm tra đường dẫn chứng chỉ. Trường này chỉ có trong chứng chỉ CA.
• Subject Attributes Name: chỉ ra những dạng tên lựa chọn gắn với người sở hữu chứng chỉ. Những giá trị có thể là: địa chỉ e – mail, địa chỉ IP, địa chị URI…
• Issuer Alternative Name: chỉ ra những dạng tên lựa chọn gắn với người cấp chứng chỉ.
• Subject Directory Attributes: trường này chỉ ra dãy các thuộc tính gắn với người sử hữu chứng chỉ. Trường mở rộng này không được sử dụng rộng rãi. Nó được dùng để chứa những thông tin liên quan đến đặc quyền.
• Basic Constraints Field: Trường này cho biết đây có phải là chứng chỉ CA hay không bằng các thiết lập giá trị logic (true). Trường này chỉ có trong chứng chỉ CA.
Chứng chỉ CA dùng để thực hiện một số chức năng. Chứng chỉ này có thể là một trong hai dạng. Nếu CA tạo ra chứng chỉ để tự sử dụng, chứng chỉ này được gọi là chứng chỉ CA tự ký. Khi một CA mới được thiết lập, CA tạo ra một chứng chỉ CA tự ký để ký lên chứng chỉ của người sử dụng cuối trong hệ thống. Và dạng thứ hai là CA cấp chứng chỉ cho những CA khác trong hệ thống.
• Path Length Constraint: Trường này chỉ ra tối đa của đường dẫn chứng chỉ có thể được thiết lập. Giá trị “zero” chỉ ra rằng CA chỉ có thể cấp chứng chỉ cho thực thể cuối, không cấp chứng chỉ cho những CA khác. (trường này chỉ có trong chứng chỉ của CA).
• Name Constriansts: được dùng để bao gồm hoặc loại trừ các nhánh những miền khác nhau trong khi thiết lập môi trường tin tưởng giữa các miền PKI.
• Policy Constraints: được dùng để bao gồm hoặc loại trừ một số chính sách chứng chỉ trong khi thiết lập môi trường tin tưởng giữa các miền PKI.
Hình 1.11. Nội dung chi tiết một chứng chỉ số được cấp bởi trung tâm CA Phòng TNTDATTT
1.2.4.2. Thu hồi chứng chỉ
Trong một số trường hợp như khóa bị xâm hại hoặc người sở hữu chứng chỉ thay đổi vị trí, cơ quan … thì chứng chỉ đã được cấp không có hiệu lực. Do đó, cần phải có một cơ chế cho phép người sử dụng chúng chỉ kiểm tra được trạng thái thu hồi chứng chỉ. X.509 cho phép kiểm tra chứng chỉ trong các trường hợp sau:
- Chứng chỉ đã bị CA cấp thu hồi
- Chứng chỉ do một tổ chức có thẩm quyền mà CA ủy thác có trách nhiệm thu hồi chứng chỉ thu hồi.
Cơ chế thu hồi X .509 xác định là sử dụng danh sách thu hồi chứng chỉ (CRLs).509 đưa ra sự phân biệt giữa ngày, thời gian chứng chỉ bị CA thu hồi và ngày, thời gian trạng thái thu hồi được công bố đầu tiên. Ngày thu hồi thực sự được ghi cùng với đầu vào của chứng chỉ CRL. Ngày thông báo thu hồi được xác định trong header của CRL khi nó được công bố. Vị trí của thông tin thu hồi có thể khác nhau tùy theo CA khác nhau. Bản thân chứng chỉ có thể chứa con trỏ đến nơi thông tin thu hồi được xác định vị trí. Người sử dụng chứng chỉ có thể biết thư mục, kho lưu trữ hay cơ chế để lấy được thông tin thu hồi dựa trên những thông tin cấu hình được thiết lập trong quá trình kho lưu trữ hay cơ chế lấy được thông tin thu hồi dựa trên những thông tin cấu hình được thiết lập trong quá trình khởi sinh.
Để duy trì tính nhất quán và khả năng kiểm tra, CA yêu cầu: - Duy trì bản ghi kiểm tra chứng chỉ thu hồi
- Cấp thông tin trạng thái thu hồi
- Công bố CRLs và khi CRL là danh sách trống
1.2.4.3. Chính sách chứng chỉ
Như được giới thiệu trong phần trên, một số mở rộng liên quan đến chính sách có trong chứng chỉ. Những mở rộng liên quan đến chính sách này được sử dụng trong khi thiết lập xác thực chéo giữa các miền PKI. Một chính sách chứng chỉ trong X.509 được định nghĩa là “tên của tập các quy tắc chỉ ra khả năng có thể sử dụng của chứng chỉ cho một tập thể đặc thù và một lớp ứng dụng với những yêu cầu bảo mật chung”.
Chính sách có định danh duy nhất (được biết đến như định danh đối tượng hay OID) và định danh này được đăng ký để người cấp và người sử
dụng chứng chỉ có thể nhận ra và tham chiều đến. Một chứng chỉ có thể được cấp theo nhiều chính sách, một số có thể là thủ tục và mô tả mức đảm bảo gắn với an toàn của hệ thống được sử dụng để tọa chứng chỉ hay nơi lưu giữ khóa.
Một số chính sách chứng chỉ cũng có thể được hiểu là việc giải thích những yêu cầu và giới hạn liên quan đến việc sử dụng chứng chỉ được công bố theo những chính sách này. Chính sách chứng chỉ Certificate Policies (CP) được chứa trong trường mở rộng chuẩn của chứng chỉ X.509. Bằng việc kiểm tra trường này trong chứng chỉ, hệ thống sử dụng chứng chỉ có thể xác định một chứng chỉ cụ thể có thích hợp cho mục đích sử dụng hay không.
Một thuật ngữ chuyên môn khác “Certificate Practice Statement (CPS)” được sử dụng để mô tả chi tiết những thủ tục hoạt động bên trongcủa AC và PKI cấp chứng chỉ với chính sách chứng chỉ đã qui định.
Chính sách chứng chỉ đặc biệt quan trọng khi đưa ra quyết định để xác nhận chéo hai PKI khác nhau. (adsbygoogle = window.adsbygoogle || []).push({});
1.2.4.4. Công bố gửi thông báo thu hồi chứng chỉ
Thông thường chứng chỉ sẽ hợp lệ trong khoảng thời gian hiệu lực. Nhưng trong một số trường hợp chứng chỉ lại không hợp lệ trước thời gian hết hạn, ví dụ như:
o Khóa riêng của chủ thể bị xâm phạm.
o Thông tin chứa trong chứng chỉ bị thay đổi
o Khóa riêng của CA cấp chứng chỉ bị xâm phạm
Trong những trường hợp này cần có một cơ chế để thông báo đến những người sử dụng khác. Một trong những phương pháp để thông báo đến người sử dụng khác. Một trong những phương pháp để thông báo đến người sử dụng về trạng thái của chứng chỉ là công bố CRLs định kỳ hoặc khi cần thiết. Ngoài ra, có một số cách lựa chọn khác để thông báo người sử dụng như dùng phương pháp trực tuyến Online Certificate Status Protocol.
Certificate Revocation Lists (CRLs)
CRLs là cấu trúc dữ liệu được ký như chứng chỉ người sử dụng, CRLs chứa danh sách các chứng chỉ đã bị thu hồi và những thông tin cần thiết khác của người sử dụng. CRL thường một CA cấp. Tuy nhiên, CRL cũng có thể được sử dụng để cung cấp thông tin cho nhiều CA nếu nó được định nghĩa như một CRL gián tiếp. Những thông tin này được chứa trong trường mở rộng CRL Scope. Version number Signature Issuer This update Next update
User Certificate Date of Serianl number revocation Revocation reason
User Cerfificate Date of Serianl Number revocation Revocation reason
CRL extensions
Hình 1.12. Khuôn dạng danh sách chứng chỉ bị thu hồi Trong đó:
• Version number: Chỉ ra phiên bản của CRL
• Signature: nhận biết loại hàm băm và thuật toán ký được sử dụng để ký danh sách thu hồi CRL.
• Issuer: tên của thực thể cấp và ký CRL
• This Update: Chỉ ra ngày và thời gian CRL được công bố
• Next update: Chỉ ra ngày và thời gian danh sách thu hồi kế tiếp được cấp
• List of revoked certificates: Chứa danh sách cùng với serial của những chứng chỉ bị thu hồi.
Những chứng chỉ đã bị CA thu hồi được ghi vào danh sách theo thứ tự của revoked certificates. Mỗi đầu vào nhận biết chứng chỉ thông qua số serial và ngày thu hồi trên đó có ghi rõ thời gian và ngày khi chứng chỉ bị CA thu hồi.
Authority Revocation List (ARLs)
ARL là một CRL đặc biệt chứa thông tin thu hồi về chứng chỉ CA. ARLs không chứa chứng chỉ của người sử dụng cuối. Những thay đổi thông thường trong ARL thường hiếm khi xảy ra bởi vì chứng chỉ của CA chỉ bị thu hồi khi khóa riêng của CA bị xâm hại và đó là trường hợp không thường xảy ra. Nếu chứng chỉ chéo bị thu hồi thì người cấp chứng chỉ chéo này sẽ công bố một ARL mới để thông báo tất cả các thực thể về tình huống này. ARLs được sử dụng chủ yếu trong quá trình thẩm tra đường dẫn chứng chỉ nếu môi trường tin cậy bao gồm CA có chứng chỉ xác thực chéo.
Cơ chế truy cập (Online Query Mechanisms)
CRL và ARLs giúp người sử dụng cuối nhận biết được về tình trạng thu hồi chứng chỉ. Nhưng có một vấn đề nảy sinh là điều gì sẽ xảy ra nếu CA thu hồi chứng chỉ ngay sau khi vừa công bố CRL. Không có người sử dụng nào nhận biết được về việc thu hồi này đến khi một CRL mới được thông báo.
Một lược đồ khác để kiểm soát được trạng thái của chứng chỉ do IETF phát triển là OCSP ( Online Certificate Status Protocol). Lược đồ này dựa trên cơ chế truy vấn trực tiếp hơn việc công bố định kỳ CRLs và ARLs. OCSP là